[发明专利]一种密钥管理系统

说明书

本发明公开了一种密钥管理系统，包括：控制节点；多个计算节点，多个计算节点均与控制节点连接；多个量子密钥分发节点，多个量子密钥分发节点均与控制节点连接，且每一个量子密钥分发节点分别与其中一个计算节点连接；其中，每一个量子密钥分发节点配置为生成根密钥，并根据控制节点发出的第一指令生成和其他若干个量子密钥分发节点之间的密钥加密密钥，以及根据控制节点发出的第二指令生成与连接的计算节点上的用户对应的数据加密密钥。本发明提出的基于量子密钥的密钥管理系统，实现了计算节点与密钥分发节点之间传输加密前与解密后的明文数据，使得明文数据不会在管理平面与业务平面传输，更加增强了安全性。

技术领域

本发明涉及密钥管理领域，具体涉及一种密钥管理系统。

背景技术

如图1所示，传统OpenStack部署架构可以包括1个控制节点、m个计算节点，n个存储节点。在OpenStack中存在大量使用密钥的场景，例如登录密码、证书、密钥对、云硬盘加密、文件加密、镜像加密、日志加密、数据传输时的加密等。OpenStack中的加密组件是Barbican，实现包括对称密钥、非对称密钥、证书和原始二进制数据的生命周期管理，北向通过plugin设计支持不同的软、硬件(HSM)密码设备，南向通过API接口为OpenStack其它组件提供密钥管理服务。

传统OpenStack部署架构针对需要在跨节点用户间进行数据传输的场景，目前主要是通过信封加密方式完成对数据的保护，信封加密是类似数字信封技术的一种加密手段。这种技术结合对称密钥和非对称密钥技术，利用公钥将加密数据的对称数据加密密钥加密后和数据密文一起封入信封中存储、传递和使用。由于信封加密方法需要将数据加密密钥密文和数据密文一起在业务网层面进行传递，随着算力的增强特别是量子计算机的研制，只需要破解数据加密密钥密文即可对数据密文进行解密，因此数据密文的安全性将难以保证。

发明内容

有鉴于此，为了克服上述问题的至少一个方面，本发明实施例提出一种密钥管理系统，包括：

控制节点；

多个计算节点，所述多个计算节点均与所述控制节点连接；

多个量子密钥分发节点，所述多个量子密钥分发节点均与所述控制节点连接，且每一个所述量子密钥分发节点分别与其中一个所述计算节点连接；

其中，所述每一个量子密钥分发节点配置为生成根密钥，并根据所述控制节点发出的第一指令生成和其他若干个所述量子密钥分发节点之间的密钥加密密钥，以及根据所述控制节点发出的第二指令生成与连接的所述计算节点上的用户对应的数据加密密钥。

在一些实施例中，所述每一个量子密钥分发节点还配置为：

将所述密钥加密密钥发送到对应的其他若干个量子密钥分发节点上，以使所述对应的其他若干个量子密钥分发节点利用各自的所述根密钥对所述密钥加密密钥进行加密；

利用所述根密钥分别对和所述其他若干个量子密钥分发节点之间的所述密钥加密密钥进行加密。

在一些实施例中，所述计算节点配置为响应于接收到用户申请与另一所述计算节点上的用户之间的数据加密密钥的请求，向所述控制节点发送所述请求；

所述控制节点配置为响应于接收到所述请求，向与发送所述请求的所述计算节点连接的所述量子密钥分发节点发送所述第二指令。

在一些实施例中，与发送所述请求的所述计算节点连接的所述量子密钥分发节点配置为：

响应于接收到所述第二指令，生成所述用户和所述另一计算节点上的用户之间的数据加密密钥；

将所述用户和所述另一计算节点上的用户之间的数据加密密钥发送到与所述另一计算节点连接的另一量子密钥分发节点上；

利用所述根密钥对和所述另一量子密钥分发节点之间的已加密的密钥加密密钥进行解密；